PHP phát hành bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng PHP2Shell

PHP đã phát hành bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng được gọi là PHP2Shell, cho phép thực thi mã remoto không cần xác thực. Các lỗ hổng này đã được khai thác và PHP khuyến nghị cập nhật và khởi động lại dịch vụ ngay lập tức.

Nội dung chính

• PHP đã phát hành bản vá khẩn cấp cho hai lỗ hổng được gọi là PHP2Shell, với mã CVE-2026-109618 và CVE-2026-109619.
• Các lỗ hổng này có thể gây ra thực thi mã remoto không cần xác thực trên các máy chủ chạy phiên bản bị ảnh hưởng của runtime PHP.
• Lỗ hổng CVE-2026-109618 gây ra lỗi do thiếu bộ nhớ và có thể dẫn đến thực thi mã với quyền của quá trình web.
• Lỗ hổng CVE-2026-109619 gây ra vấn đề trạng thái toàn cục cũ kỹ, có thể dẫn đến tiết lộ bộ nhớ và thực thi mã với quyền của worker.
• Các phiên bản đã được sửa chữa bao gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35.

Chi tiết sự việc

PHP đã phát hành bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng được gọi là PHP2Shell, cho phép thực thi mã remoto không cần xác thực. Các lỗ hổng này đã được phát hiện và có người đã thử khai thác chúng, do đó, các nhà quản trị nên cập nhật và khởi động lại các dịch vụ ngay lập tức.

Lỗ hổng đầu tiên, được gán mã CVE-2026-109618, có điểm CVSS v4.0 là 9,2, và lỗ hổng thứ hai, mã CVE-2026-109619, cũng có điểm tương tự. Lỗ hổng đầu tiên dẫn đến lỗi tràn bộ nhớ và có thể thực thi mã với quyền của quá trình web, trong khi lỗ hổng thứ hai gây ra divulgation của trạng thái global lỗi thời, dẫn đến divulgation của bộ nhớ và, trong một số trường hợp, thực thi mã với quyền của worker.

Ngoài ra, lỗ hổng này có thể tiết lộ thông tin nhạy cảm như mật khẩu, token, API key hoặc thậm chí là chứng từ, tùy thuộc vào yêu cầu đồng thời và hành vi của máy chủ. Các phiên bản đã được sửa chữa bao gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Sau khi cập nhật, cần khởi động lại Apache, PHP-FPM và bất kỳ worker nào còn hoạt động để đảm bảo quá trình đã tải runtime đã sửa.

Trong trường hợp không thể cập nhật ngay, các biện pháp hạn chế có thể được áp dụng, nhưng chúng không giải quyết hoàn toàn vấn đề. Đối với CVE-2026-109618, đề xuất giới hạn memory_limit=-1, duy trì post_max_size thấp và giới hạn kích thước yêu cầu trên máy chủ web hoặc proxy. Đối với CVE-2026-109619, một biện pháp hạn chế là vô hiệu hóa session.upload_progress.enabled và khởi động lại tất cả các worker. Trong PHP 8.5, một biện pháp hạn chế parcial là vô hiệu hóa fatal_error_backtraces và khởi động lại các quá trình.

Sau khi áp dụng bản vá, các nhóm cần giám sát thay đổi hành vi: bản vá giới hạn bộ nhớ và vượt quá giới hạn có thể dừng quá trình và bỏ qua quản lý tắt. Đồng thời, cần theo dõi các dấu hiệu tương thích với các cố gắng khai thác, như yêu cầu multipart bất thường sau bởi lỗi giới hạn bộ nhớ, đợt HTTP 500, cookies PHPSESSID bất thường lớn hoặc khởi động worker không giải thích. Trong môi trường PHP 8.1 và trước đó không còn nhận được bản vá từ dự án, áp lực để hiện đại hóa phiên bản trở thành một vấn đề an ninh, không chỉ là bảo trì.

PHP đã phát hành bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng trong PHP2Shell, với các nỗ lực khai thác đã được ghi nhận. Các nhà nghiên cứu đã cảnh báo về mối đe dọa từ nhóm tấn công có thể lợi dụng những lỗ hổng này để thực hiện các hoạt động không mong muốn.

Hai lỗ hổng này được đánh giá là nghiêm trọng, có thể dẫn đến việc thực thi mã không mong muốn trên hệ thống bị ảnh hưởng. PHP đã xác nhận rằng những lỗ hổng này đã được nhóm tấn công cố gắng khai thác, cho thấy mức độ nguy hiểm của chúng.

Các nhà nghiên cứu đã khuyến nghị các nhà phát triển và người dùng nên cập nhật ngay lập tức để bảo vệ hệ thống của mình khỏi các mối đe dọa tiềm tàng. Việc này không chỉ giúp ngăn chặn việc khai thác lỗ hổng, mà còn đảm bảo hệ thống được bảo vệ trước các mối đe dọa khác.

PHP đã không cung cấp chi tiết về các lỗ hổng cụ thể, nhưng nhấn mạnh rằng việc phát hành bản vá khẩn cấp là để bảo vệ người dùng trước những nguy cơ tiềm tàng. Các nhà nghiên cứu đã kêu gọi cộng đồng kỹ thuật tiếp tục theo dõi và cập nhật thông tin về các lỗ hổng mới.

Đối tượng bị ảnh hưởng

Phạm vi ảnh hưởng bao gồm PHP-FPM, php-cgi, FrankenPHP, LiteSpeed và Apache mod_php.

Khuyến nghị

• Cập nhật và khởi động lại Apache, PHP-FPM và bất kỳ worker nào còn hoạt động.
• Đối với CVE-2026-109618, thiết lập memory_limit=-1, giữ post_max_size thấp và giới hạn kích thước yêu cầu trên máy chủ web hoặc proxy.
• Đối với CVE-2026-109619, tắt session.upload_progress.enabled và khởi động lại tất cả các worker.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn Una al Día · Hispasec (Tây Ban Nha). Vui lòng đối chiếu bài gốc trước khi sử dụng.